보안 제어 선택 및 격차 분석

예방 통제는 위협이 성공하기 전에 차단합니다(방화벽, 접근 통제, 암호화). 탐지 통제는 발생한 위협을 식별합니다(IDS, 기록, 감사). 교정 통제는 사고 후 영향을 줄입니다(백업, IR 계획, 패치). 심층 방어를 위해서는 세 가지 유형이 모두 필요합니다.

통제는 여러 차원에 걸쳐 있습니다. 물리적 통제(잠금장치, 카메라), 기술적 통제(방화벽, MFA), 관리적 통제(정책, 교육)가 있습니다. 특정 위험에 대해서는 범주 전반에 걸쳐 서로 보완하는 통제를 선택하십시오. 관리 정책과 물리적 보안이 뒷받침하는 기술적 통제는 실질적인 심층 방어를 구축합니다.

위험에 비례하는 통제를 선택하십시오. 잔여 위험은 고유 위험에서 통제 효과성을 뺀 값으로 계산합니다. 발생 가능성과 영향이 모두 높은 위험에는 비용이 큰 통제를 적용할 근거가 있습니다. 발생 가능성과 영향이 모두 낮은 위험은 통제 없이 수용할 수도 있습니다. 위험 처리의 근거를 문서화하십시오.

NIST 800-53 개정판 5에는 20개 체계(AC, AU, CA, CM 등)로 구성된 1,000개 이상의 통제가 포함되어 있습니다. 연방 기관과 계약업체는 지정된 기준선(낮음/보통/높음)을 구현해야 합니다. 이 목록은 이용 가능한 기술 통제 참고 자료 중 가장 포괄적입니다.

차이 분석은 현재 보안 상태를 목표 체계 기준선과 비교합니다. 단계: (1) 현재 구현된 통제를 문서화합니다. (2) 체계의 통제에 매핑합니다. (3) 구현되지 않았거나 부분적으로 구현된 통제를 식별합니다. (4) 위험에 따라 차이의 우선순위를 정합니다. (5) 개선 로드맵을 작성합니다.

이상적인 통제를 적용할 수 없는 경우(비용, 운영상의 제약, 레거시 시스템), 대체 수단을 통해 동등한 위험 감소 효과를 달성하는 보완 통제를 구현하십시오. 감사자와 위험 수용을 위해 보완 통제를 선택한 근거를 문서화하십시오.

통제는 작동한다고 가정하지 말고 시험해야 합니다. 차단된 행동을 시도하여 예방 통제를 시험하십시오. 이벤트를 모의하고 탐지가 이루어지는지 확인하여 탐지 통제를 시험하십시오. 도상 훈련과 복구 훈련을 실시하여 교정 통제를 시험하십시오.

CIS 핵심 보안 통제(18개 통제)는 우선순위가 지정된 실용적인 보호 수단입니다. 구현 그룹(IG1/IG2/IG3)은 소규모 조직을 위한 기본 보안 위생부터 기업을 위한 정교한 통제까지 확장됩니다. IG1은 최소한의 실행 가능한 보안을 위해 가장 큰 효과를 내는 기본 보호를 제공합니다.

차이 분석의 결과는 성숙도 로드맵으로 이어집니다. 금액당 위험 감소 효과를 기준으로 우선순위를 정하고, 통제를 분기별 작업 주기로 묶으며, 성숙도 이정표에 따른 진행 상황을 추적하십시오. 기술 전문 용어가 아니라 비즈니스 위험 언어로 경영진 이해관계자에게 진행 상황을 보고하십시오.

제3자 위험 관리에는 공급망의 통제를 평가하는 작업이 필요합니다. 보안 설문지, SOC 2 보고서, ISO 27001 인증서 및 침투 시험 요약은 공급업체 통제 효과성의 증거를 제공합니다. 고위험 공급업체에는 현장 평가가 필요할 수 있습니다.

통제는 시간이 지나면서 약화됩니다. 패치 수준이 낮아지고, 구성이 변하며, 접근 권한이 누적됩니다. 자동화된 규정 준수 도구(AWS 구성 서비스, 애저 정책, SCC)를 통한 지속적인 통제 모니터링은 연례 감사 시점의 스냅숏이 아니라 실시간 통제 상태를 유지합니다.

예방 통제와 탐지 통제의 차이는 무엇입니까?

통제 선택은 식별된 위험을 물리적, 기술적, 관리적 범주 전반의 적절한 예방 통제, 탐지 통제 및 시정 통제에 연결합니다. 격차 분석은 프레임워크 기준선에 비추어 누락된 통제를 식별하며, 위험 우선순위가 반영된 로드맵은 측정 가능한 보안 성숙도를 향해 체계적인 개선을 추진합니다.